企业信息化与远程接入 企业信息化

　　[摘要]随着企业信息化的发展,移动办公对远程接入提出了新的挑战。从远程接入的发展,VPN原理和特点等几个方面进行论述,并对远程接入在实际应用中的注意事项做说明。 　　[关键词]移动办公远程接入无线VPN
　　中图分类号:TP3文献标识码:A文章编号:1671-7597(2009)1110079-01
　　
　　随着企业信息化发展和3G时代的到来,人员的流动性加大,传统的办公方式已经满足不了新的的需求,移动办公,soho办公(Small Office Home Officer)逐渐将成为新的的办公方式。相比传统的办公方式,移动办公和soho办公带来了更灵活的工作时间以及办公地点。因此远程登录,远程访问开始成为现代工作生活的一种必要的需求。
　　
　　一、远程接入的发展
　　
　　普通电话拨号技术是历史最久的远程接入技术。基本方式是两个计算机之间分别安装一种称为调制解调器(Modem)的网络连接设备,然后通过电话拨号的形式建立计算机间远程接入。
　　普通电话的网络连接速度并不能满足企业网络带宽的要求,市场的发展需要一种能够承载多媒体业务的网络。于是,就出现了综合业务数字网ISDN(Integrated Service Digital Network)。
　　ADSL技术的发展使宽带进入了千家万户,互联网得到很快的发展,带宽从拨号时代几K发展到现在的几M,对光纤接入的用户都达到了100M级。通过互联网的资源,连接企业的内部网络便成了人们的理想,于是VPN(Vi
　　rtual Private Network)虚拟专用网络便诞生了。
　　基于有线资源的接入技术受到线路资源的限制,VPN用户只能在接入点使用。3G时代的到来,给远程接入带来了新的发展。通过3G终端使用VPN接入到企业的内部网络,用户的接入时间与接入空间得到有效的扩展,移动VPN将会成为未来一段时间远程接入的新趋势。
　　普适计算(Pervasive Computing)也称无处不在计算(Ubiquitous Computing),它集移动通信技术、计算技术、小型计算设备制造技术、小型计算设备上的操作系统及软件技术等多种关键技术于一体,通过将普适计算设备嵌入到人们生活的各种环境中,使通信服务以及其它基于信息网络的各种“以人为中心”的计算和信息访问服务在任何时候、任何地点都成为可能,它将会把远程接入推向新的时代。
　　
　　二、VPN及无线VPN的原理
　　
　　电话拨号大家比较熟悉,普适计算还在发展过程中,VPN近年来得到业界广泛的应用,移动VPN逐渐成为新的趋势。因此我们主要来谈谈VPN与移动VPN的原理。
　　
　　(一)VPN原理
　　虚拟专用网VPN(Virtual Private Network)指的是依靠ISP(Inter
　　Net服务提供商)和其他NSP(网络服务提供商),在公用网络中建立专用的数据通信网络的技术。在虚拟专用网中,任意两个节点之间的连接并没有传统专网所需的端到端的物理链路,而是利用某种公众网的资源动态组成的。虚拟专用网络可以实现不同网络的组件和资源之间的相互连接,能够利用Internet或其它公共互联网络的基础设施为用户创建隧道,并提供与专用网络一样的安全和功能保障。
　　本质上VPN是使用一种类似于节点间,通过建立点到点关系的连接的方式来进行加密通信。按照标准的OSI(Open System Interconnection,开放式系统互联参考模型)分层协议来运作,加密数据包通过添加IP包头逐层向下传输一直到实际物理链路,然后根据IP头中的目的地址发送给目的端主机,VPN网关收到包以后,解密数据包并逐层向上,直到剩下的是原来的数据包为止。整个过程对于后台的应用程序来说是完全透明的。
　　VPN的安全加密算法主要有L2TP、IPSEC、SSL等,各有优缺点,适用于不同的应用环境。L2TP本质上是一种隧道传输协议,它使用两种类型的消息:控制消息和数据隧道消息。控制消息负责创建、维护及终止L2TP隧道,而数据隧道消息则负责用户数据的真正传输。L2TP支持标准的安全特性CHAP和PAP,可以进行用户身份认证。在安全性考虑上,L2TP仅定义了控制消息的加密传输方式,对传输中的数据并不加密。IPSec VPN简单来说就是采用IPSec协议来实现远程登录的一种VPN技术,IPSec是IETF(Internet Engineer Task Force)制定的安全标准,IPSec协议是一个范围广泛、开放的虚拟专用网安全协议,它提供所有在网络层上的数据保护,提供透明的安全通信。IPSec是基于网络层的,不能穿越通常的NAT、防火墙。SSL VPN简单来说就是采用SSL协议来实现远程登录的一种新型VPN技术。SSL(S
　　ecurity Socket Layer)协议是网景公司提出的基于WEB应用的安全协议,它包括:服务器认证、客户认证、SSL链路上的数据完整性和SSL链路上的数据保密性,SSL是基于传输层的。SSL协议被内置于IE等浏览器中,使用SSL协议进行认证和数据加密的SSL VPN就可以免于安装客户端,简化了客户端的操作。所以通常情况SSL VPN使用的较多。
　　
　　(二)移动VPN原理
　　VPN应用于无线领域便成了移动VPN,通过无线路由器等接入的其实质还是固定网络的VPN,移动VPN主要指通过GPRS,WCDMA等远程接入方式,其与普通VPN原理一样。但由于无线网络的安全性较低,所以在安全性方面需要加入新的内容。移动VPN对移动终端的要求取决于移动VPN所采用的技术和实现方式。根据VPN中隧道的发起位置来划分,VPN可以分为两种:网络发起的VPN和终端发起的VPN。
　　网络发起的VPN是指VPN隧道的发起点是网络设备,在移动网络中,指由GGSN发起VPN隧道至企业网关。它可以是GRE、MPLS、IPSec、L2TP等技术之一,或是这些技术的组合。网络发起的VPN一般对终端无特殊要求。
　　终端发起的VPN是指隧道的起点是终端,由终端主动发起一条隧道至企业网关。终端发起的VPN一般采用IPSec或L2TP技术,这要求终端支持IPSec协议或L2TP协议。目前大多数终端均不支持IPSec协议和L2TP协议,如要实现这种VPN方式,可通过数据卡方式实现。同时,在这种情况下,VPN和移动运营商没有直接关系,移动网络只对VPN起承载作用。这种VPN常用于保障端到端的数据安全的业务场景。
　　移动VPN在无线接入子网可以设置自主认证体系,以便对经过HLR认证的客户在拨号联接时进行机号、用户名、拨号口令的核查并进行日志记录,杜绝非法用户的进入。合法的用户在使用前必须采用登录访问方式,以确保即使发生未发觉的遗失,由于捡拾者无法知道登录信息,所以也无法使用系统。
　　
　　三、VPN具有以下主要特点
　　
　　安全保障:由于VPN直接构建在公用网上,实现简单、方便、灵活,但同时其安全问题也更为突出。企业必须确保其VPN上传送的数据不被攻击者窥视和篡改,并且要防止非法用户对网络资源或私有信息的访问。
　　服务质量保证(QoS):VPN网为企业数据提供不同等级的服务质量保证,如对移动办公用户,提供广泛的连接和覆盖性是保证VPN服务的一个主要因素;而对于拥有众多分支机构的专线VPN网络,交互式的内部企业网应用则要求网络能提供良好的稳定性。QoS通过流量预测与流量控制策略,可以按照优先级分配带宽资源,实现带宽管理,使得各类数据能够被合理地先后发送,并预防阻塞的发生。
　　可扩充性和灵活性:VPN能够支持通过Intranet和Extranet的任何类型的数据流,方便增加新的节点,支持多种类型的传输媒介,可以满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求。可管理性:VPN要求企业将其网络管理功能从局域网无缝地延伸到公用网,甚至客户和合作伙伴,要求减小网络风险,具有高扩展性、经济性、高可靠性等优点。事实上,VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理以及QoS管理等内容。
　　
　　四、远程接入时应注意的措施
　　
　　1.使用VPN业务的终端应强制采取一些安全政策和设置,以便进一步提高VPN连接的安全性。
　　2.一开始VPN连接,就通过非常严格的政策来关闭并行网络连接。避免屏幕录制等木马窃取用户信息而对VPN造成威胁。
　　3.省略w.省略/weekly/tech/htm
　　2009/20090215_588386.shtml.
　　[2]虚拟专用网VPN,https://safe.省略/119/1195850.html.
　　[3]移动数据VPN技术及业务研究,https://www.省略/article/07-02/061002306979.html.
　　[4]IP VPN技术特点与安全机制,https://www.省略/Info/99/info
　　12125_1.htm.
　　
　　作者简介:
　　荣东明(1970-),通信工程师,研究方向:网络安全;周全(1971-),通信工程师,研究方向:网络安全;何远(1977-),在读硕士研究生,研究方向:网络安全。